유럽 여러 나라에서 슈퍼마켓 냉장 설비가 원격으로 조작되고 프랑스 혈액은행 냉장 시스템도 비슷한 공격을 받았다. 폭탄 위협으로 항공편 수십 편이 우회하고 일부 항공기는 전투기 호위를 받았으며, 영국 스카이뉴스와 아일랜드 공영방송 RTÉ도 위협을 받았다. 식품과 의료 물자의 보관, 항공 운항, 언론사 업무에 차질을 빚을 수 있는 사건이 잇따랐지만, 배후나 사건 간 연관성은 아직 확인되지 않았다.
슈퍼마켓 냉장 설비 온도, 최고 50도까지 올라
월요일 벨기에와 룩셈부르크, 스웨덴, 네덜란드의 슈퍼마켓에서 일부 냉장 시스템 설정 온도가 최고 섭씨 50도(화씨 122도)까지 올라간 사실이 확인됐다. 영향을 받은 업체에는 Ahold Delhaize, 이케아, Colruyt Group, 까르푸 등이 포함됐다. 온도가 높아지면 식품이 상할 수 있어 유통업체들은 피해 상품을 처리해야 했다.
유럽에서 냉장 설비를 노린 공격이 처음 발생한 것은 아니다. 지난 10월 프랑스에서는 수백 곳의 슈퍼마켓이 사이버 공격을 받아 냉동고 온도가 오르고 식품이 변질되거나 화재가 발생했다. 이후 프랑스 혈액은행의 냉장 시스템도 공격 대상이 됐다. 식품 공급과 혈액 보관에 쓰이는 설비인 만큼 피해가 개별 기업의 손실을 넘어설 수 있다는 점에서 주목된다.
스톡홀름대 부교수이자 사이버보안 전문가인 프레드리크 블릭스(Fredrik Blix)는 일부 냉장 시스템 제어 장치가 공용 인터넷에 직접 연결돼 있고, 기본 비밀번호나 추측하기 쉬운 인증 정보를 사용하는 경우가 있다고 설명했다. 이런 환경에서는 고도의 기술 없이도 취약점을 찾아 악용할 수 있다는 것이다. 그는 사건이 알려진 뒤 모방 공격이 이어질 가능성도 경고했다. 국가 또는 국가의 지원을 받는 행위자가 개입했을 가능성을 배제할 수 없지만, 시스템의 한계를 시험하거나 장난을 벌인 것일 수도 있다고 덧붙였다.
유럽 내 의심스러운 방해 활동과의 연관성은 미확인
영국 왕립합동군사연구소(RUSI)의 시다르트 카우샬(Sidharth Kaushal) 연구원은 슈퍼마켓 냉장 설비 사건을 유럽에서 이어진 의심스러운 파괴 행위와 하이브리드 위협의 맥락에서 살펴볼 필요가 있다고 말했다. 그는 발트해 해저 케이블 손상, 유럽 방산업체 경영진을 향한 살해 위협, 2024년 DHL 화물기에서 폭탄이 발견된 사건 등을 함께 언급했다.
슈퍼마켓 공격이 러시아와 관련됐다면 유럽의 우크라이나 지원에 따르는 대가를 정책 결정자들에게 체감시키려는 목적일 수 있다고 카우샬은 분석했다. 다만 현재까지 공격을 러시아의 소행으로 확인할 증거는 없다.
하이브리드 전술은 공개적인 군사 충돌을 일으키지 않으면서 사회 기능을 흔들기 위해 사이버 공격과 파괴 행위, 허위 정보를 결합하는 방식이다. 카우샬은 국가마다 대응 역량에 차이가 있다고 지적했다. 핀란드와 스웨덴은 냉전 시기에 쌓은 경험을 토대로 비교적 체계적인 민방위 체계를 마련했지만, 유럽의 많은 기반시설은 경제적 효율성을 중심으로 설계돼 방어 대비가 부족하다는 설명이다. 북대서양조약기구(NATO)는 2022년 노르트스트림 가스관 파괴 이후 해저 케이블과 천연가스관 등 기반시설의 안전에 더 주의를 기울여 왔다.
RUSI에서 유럽 안보를 연구하는 오아나 포페스쿠잠피르(Oana Popescu-Zamfir)는 유럽이 달라진 안보 환경에 제때 대응하지 못했으며, 대리 조직을 활용한 하이브리드 공격에 계속 노출될 수 있다고 말했다. 연결된 시스템을 공격하면 혈액 비축분 관리에 차질을 빚는 등 실질적인 피해가 발생할 수 있고, 일상 서비스가 제대로 보호되지 않는다는 대중의 불안도 커질 수 있다는 지적이다. 크렘린과 공격 주체의 관계가 직접적이지 않을 수 있어 책임 규명이 더 어려워질 수 있다고도 했다.
제조사·유지보수업체·유통업체 간 보안 책임 불분명
블릭스는 기업들이 기본적인 보안 조치부터 점검해야 한다고 강조했다. 산업 제어 시스템과 기타 운영기술(OT)을 적절한 보안 대책 없이 인터넷에 직접 연결해서는 안 된다는 것이다. 다만 설비 제조사와 유지보수업체, 유통업체 가운데 누가 보안 책임을 져야 하는지는 명확하지 않다. 유지보수업체가 작업 편의를 위해 원격 접속을 열어두거나, 유통업체가 공급업체에 충분한 보안 기준을 요구하지 않을 수도 있다. 여러 업체가 얽혀 있어 취약점을 보완하고 책임을 따지는 일이 복잡해진다.
유럽에서는 생활비 부담을 둘러싼 시위와 소요, 파업도 이어지고 있다. 국제안보경제전략센터의 알렉산더 앤더슨(Alexander Anderson) 회장 겸 정책 책임자는 실제 국내 불만을 외국의 개입으로 성급하게 돌려서는 안 된다고 경고했다. 러시아와, 가능성으로는 중국을 포함한 외부 세력이 사회적 갈등을 키우려 할 수 있지만, 그렇다고 모든 불안정이 외부 세력 탓이라는 뜻은 아니라는 설명이다.
프랑스의 시위와 파업은 정부의 공공재정 관리 부담을 키우고 있다. 유럽 각국은 높은 에너지 가격과 지속되는 인플레이션, 저성장, 재정 적자에 동시에 직면해 있다. 차입 비용이 오르면서 어려움을 겪는 가계를 지원할 정부의 여력도 줄어들고 있다. 냉장 설비 공격과 항공편 위협의 책임 주체는 여전히 밝혀지지 않았다. 당장은 피해를 입은 서비스의 복구 상황과 기반시설에 보안 조치가 실제로 적용됐는지가 기업과 소비자의 주요 관심사다.